网购木马（九）

显示全部楼层 · 发表于 2012-3-30 09:44:47

卡巴删掉了

显示全部楼层 · 发表于 2012-3-30 10:17:42

本帖最后由 zhousulin5 于 2012-3-30 10:21 编辑

yhjtj 发表于 2012-3-28 21:37
md的日志用的别人规则，呵呵
2012-3-28 21:33:44 创建新进程允许
进程: c:\windows.0\explorer.ex ...

MD2.7.3，自己的规则。结果，留下一个被挂起的notepad.exe进程。

2012-3-30 10:15:45 创建文件夹允许
进程: f:\病毒样本\taotaotucrashreport\taotaotucrashreport.exe
目标: C:\Program Files\tupian
规则: [应用程序组]全局允许 -> [文件]?:\program files\*

2012-3-30 10:15:45 创建文件允许
进程: f:\病毒样本\taotaotucrashreport\taotaotucrashreport.exe
目标: C:\Program Files\tupian\haoziptu.dat
规则: [应用程序组]全局允许 -> [文件]?:\program files\?*

2012-3-30 10:15:45 创建文件允许
进程: f:\病毒样本\taotaotucrashreport\taotaotucrashreport.exe
目标: C:\Program Files\tupian\zlib.dll
规则: [应用程序组]全局允许 -> [文件]?:\program files\?*

2012-3-30 10:15:45 创建文件允许
进程: f:\病毒样本\taotaotucrashreport\taotaotucrashreport.exe
目标: C:\Program Files\tupian\tupian.exe
规则: [应用程序组]全局允许 -> [文件]?:\program files\?*

2012-3-30 10:15:45 修改注册表值阻止
进程: f:\病毒样本\taotaotucrashreport\taotaotucrashreport.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MutexKey
值: C:\Program Files\tupian\tupian.exe
规则: [应用程序组]全局允许 -> [应用程序]?:\*\*.exe -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\*

2012-3-30 10:15:45 创建文件允许
进程: f:\病毒样本\taotaotucrashreport\taotaotucrashreport.exe
目标: C:\Program Files\tupian\Head.bin
规则: [应用程序组]全局允许 -> [文件]?:\program files\?*

2012-3-30 10:15:46 修改其他进程的内存阻止并结束进程
进程: f:\病毒样本\taotaotucrashreport\taotaotucrashreport.exe
目标: c:\windows\system32\notepad.exe
规则: [应用程序]* -> [目标应用程序]c:\windows\*.exe

显示全部楼层 · 发表于 2012-3-30 11:38:04

zhousulin5 发表于 2012-3-30 10:17
MD2.7.3，自己的规则。结果，留下一个被挂起的notepad.exe进程。

2012-3-30 10:15:45 创建文件夹 ...

你的规则看来是没有管启动notepad.exe
不过问题不大，拦住关键动作就行，增加易用性，很好

显示全部楼层 · 发表于 2012-4-3 13:25:24

yhjtj 发表于 2012-3-28 21:54
ssf厉害，拦截了md不拦截的行为，一步搞定
2012-3-28 21:50:51,C:\WINDOWS.0\explorer.exe,53,Allowed ;Ex ...

这个md应该拦截的。你仔细测下。呵呵

显示全部楼层 · 发表于 2012-4-4 21:38:40

红伞报DLL 木马
熊猫云报 DLL 可疑

显示全部楼层 · 发表于 2012-4-5 13:50:41

下载诺顿不报，右键杀了

显示全部楼层 · 发表于 2012-4-5 14:27:53

学习了解一下

显示全部楼层 · 发表于 2012-4-16 11:50:51

sophos也报毒

显示全部楼层 · 发表于 2012-4-25 13:02:36

MSE4.0竟然还没入库，悲催

显示全部楼层 · 发表于 2012-4-25 13:03:41

钢铁侠发表于 2012-4-25 13:02
MSE4.0竟然还没入库，悲催

STOP! Bitdefender blocked this web page.

The page you are trying to access contains malware.

Details:
Web Page: http://183.60.157.62/gdown_group275/M00/0A/A7/tzydPk9y9oIAAA...
Detected viruses: Trojan.Generic.KDV.583312

Access from your browser has been blocked.

Take me back to safety

[病毒样本] 网购木马（九）